Krasznay Csaba kiberbiztonsági szakértő a Gondolj bele! csatornán 2026. október 15-én megjelent beszélgetésben a NIS2-ről is beszélt. Szerinte Magyarországon a cégek többnyire tisztességgel végigvitték a felkészülést és az auditot. Ettől egy zsarolóvírus még elviheti például egy csirketelep rendszereit. Az érintett szervezetek viszont legalább tudják, hova nyúljanak, ha baj van. Ez a cikk azt nézi meg a jogszabályok szövegéből, mit bizonyít az audit, és mit nem.

A jogalap röviden

Az uniós keretet a NIS2-irányelv, az (EU) 2022/2555 irányelv adja. Magyarországon a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (Kibertv.) ülteti át, 2025. január 1-jétől hatályos. A korábbi, 2023. évi XXIII. törvényt az NJT szerint a Kibertv. 128. §-a ugyanettől a naptól hatályon kívül helyezte.

A Kibertv. 16. § (1) bekezdése szerint kétévente kiberbiztonsági auditot kell végeztetnie a 2. és 3. mellékletben felsorolt ágazatok közép- és nagyvállalatainak. Ugyanez vonatkozik az érintett ágazatokban működő, a méretküszöböt elérő, többségi állami befolyás alatt álló cégekre. Méretüktől függetlenül érintettek egyes szolgáltatók is, például az elektronikus hírközlési és a DNS-szolgáltatók. Közülük a mikrovállalkozásoknak nem kell auditot végeztetniük. A hatóság elrendelésére soron kívüli audit is kötelező. A (2) bekezdés szerint a szervezetnek a nyilvántartásba vételét követő 120 napon belül szerződést kell kötnie egy nyilvántartott auditorral. Az első auditot a nyilvántartásba vételtől számított két éven belül kell elvégeztetnie. A 2025. január 1. előtt működését megkezdett, auditra kötelezett szervezeteknek a 89. § (2) bekezdése az első audit határidejéül 2026. június 30-át szabta. Az első kör eredményeiről a 84 százalékos lezárásról szóló cikkünk ír.

A felügyeletet a 23. § (1) bekezdése két hatóság között osztja meg. A mellékletekben felsorolt ágazatok nem állami többségű, a méretküszöböt elérő cégeit, valamint a méretüktől függetlenül érintett szolgáltatókat a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felügyeli. A közigazgatási szervek, a többségi állami befolyású cégek és a külön azonosított szervezetek felügyelője a nemzeti kiberbiztonsági hatóság. Ezt a hatóságot kormányrendelet jelöli ki: a 418/2024. (XII. 23.) Korm. rendelet 16. §-a szerint a Nemzetbiztonsági Szakszolgálat. Az auditorokat minden auditköteles szervezetnél az SZTFH veszi nyilvántartásba és ellenőrzi.

Mit vizsgál az auditor

A Kibertv. 21. § (1) bekezdése szerint az auditor két dolgot ellenőriz. Az egyik, hogy a cég jól sorolta-e be az elektronikus információs rendszereit „alap”, „jelentős” vagy „magas” biztonsági osztályba. A másik, hogy az osztályhoz előírt védelmi intézkedések megfelelőek-e.

A részleteket az SZTFH elnökének 1/2025. (I. 31.) rendelete adja. Az audit a rendelet 1. § (3) bekezdése szerint kiterjed a kockázatkezelésre, a belső szabályzatokra és szerződésekre, a munkakörökre. Kiterjed arra is, hogy az eljárások a gyakorlatban megvalósulnak-e. Az auditor módszerei a 2. § (2) bekezdése szerint a dokumentumvizsgálat, az interjú és a teszt. Ezekhez jönnek a Kibertv. 22. §-ában felsorolt műszaki vizsgálatok. A rendelet módszertana az amerikai Nemzeti Szabványügyi és Technológiai Intézet (NIST) SP 800-53A ajánlására épül.

A rendelet 6. melléklete 385 követelménycsoportot sorol fel. Dokumentumvizsgálat mindegyiknél kötelező. Interjú 89 csoportnál kötelező, teszt 104-nél. A tesztelendők között van a kiemelt jogosultságú fiókok többtényezős hitelesítése és a mentések visszaállításának mintavételes próbája. A szabály szerint ha a cég nem ad bizonyítékot, az az adott követelményre „nem megfelelt” döntést jelent.

Az audit díját a rendelet 3. melléklete korlátozza. A legmagasabb díj 1 750 000 forint szorozva három szorzóval. A szorzók az árbevételtől, a rendszerek számától és a legmagasabb biztonsági osztálytól függnek. Egy legfeljebb 1 milliárd forint árbevételű cégnél, öt vagy kevesebb „alap” rendszerrel ez 1 575 000 forint, áfa nélkül.

Mit nem lát az auditor

Az első korlát a minta. A rendelet 3. §-a szerint az auditor a rendszerek egy részét vizsgálja. Az „alap” osztályúak legalább 40 százalékát, a „jelentős” osztályúak legalább 60 százalékát, a „magas” osztályúak legalább 70 százalékát. Összesen legalább a felét. A következő auditnak az előzővel együtt az „alap” rendszerek 70 százalékát kell lefednie. A „jelentős” és a „magas” rendszereknek ekkor már mindegyikét.

A második korlát a mérce. Az auditigazoláson a szervezet „ellenálló-képességi indexe” szerepel. A rendelet 5. melléklete szerint ez az index azt mutatja, mennyire felel meg a szervezet a védelmi intézkedések katalógusának. A legalább 95 pontos érték „elhanyagolható kockázattal megfelel”, a 70 alatti „kritikus kockázattal nem felel meg”. Az index tehát megfelelést mér, nem azt, hogyan viselkedik a cég egy támadás közben.

A harmadik korlát a mélység. A Kibertv. 22. § (1) bekezdése szerint az auditor „jogosult” sérülékenységvizsgálatra. Behatolásvizsgálatra csak a „jelentős” és a „magas” osztálynál. A törvény itt lehetőséget ad, nem kötelezettséget. Egy csak „alap” rendszereket üzemeltető cégnél a 22. § behatolásvizsgálatot nem említ. A cégre vonatkozó védelmi intézkedések katalógusa, a 7/2024. (VI. 24.) MK rendelet viszont a „magas” osztályú rendszereknél előírja, hogy a cég független szakértőt vagy csapatot alkalmazzon a behatolásvizsgálatra. Ennél a követelménynél az audit rendelet csak a dokumentumvizsgálatot teszi kötelezővé.

A negyedik korlát az idő. Az audit egy időpont állapotát rögzíti, és két évig nem ismétlődik. Közben a cég rendszert cserél, szolgáltatót vált, embereket vesz fel. A NIS2-irányelv 21. cikk (2) bekezdés f) pontja a tagállamokat kötelezi: biztosítaniuk kell, hogy a szervezetnek legyenek szabályzatai és eljárásai a kockázatkezelési intézkedései hatékonyságának értékelésére. A 21. cikk (4) bekezdése szerint azt is biztosítaniuk kell, hogy a hiányt észlelő szervezet indokolatlan késedelem nélkül meghozza a szükséges korrekciós intézkedéseket. A céget ez a magyar jogon keresztül köti. A 7/2024. (VI. 24.) MK rendelet mindhárom biztonsági osztályban előírja a védelmi intézkedések hatékonyságának rendszeres értékelését. A folyamatos ellenőrzés tehát a cég feladata, nem az auditoré.

Mi történik az eredménnyel

A Kibertv. 22. § (2) bekezdése szerint az auditor az eredményt a cégnek és az SZTFH-nak is megküldi. A (3) bekezdés szerint haladéktalanul írásban jelez az SZTFH-nak, ha a cég működését súlyosan veszélyeztető tényt lát. Ugyanígy jár el, ha bűncselekményre vagy jogszabálysértésre utaló körülményt észlel.

Ha a cég nem teljesíti a követelményeket, a Kibertv. 30. §-a szerint a hatóság figyelmeztet, határidőt szab, és a cég költségére információbiztonsági felügyelőt rendelhet ki. Ha ez sem segít, bírságot szabhat ki. A bírság felső határát a 418/2024. (XII. 23.) Korm. rendelet 42. § (2) bekezdése adja meg. Alapvető szervezetnél (a törvény szigorúbb kategóriája) ez 10 millió eurónak megfelelő forintösszeg vagy az előző pénzügyi évi globális éves forgalom 2 százaléka. Fontos szervezetnél 7 millió eurónak megfelelő forintösszeg vagy 1,4 százalék. Mindkét esetben a magasabb összeg számít. Az SZTFH felügyelete alá tartozó cégekre a rendelet 3. melléklete mulasztásonként külön bírságsávokat is megállapít. A mulasztásonkénti sávokat a június 30. utáni teendőkről szóló cikkünk foglalja össze.

A vezető felelőssége az irányelvből indul. A NIS2 20. cikk (1) bekezdése szerint a tagállamok biztosítják, hogy a vezető testület jóváhagyja a kockázatkezelési intézkedéseket és felügyelje a végrehajtásukat. A testületnek a megsértésükért felelősségre vonhatónak kell lennie. A Kibertv. 30. § (6) bekezdése a közigazgatási szervnek nem minősülő alapvető szervezetekre vonatkozik. Ha egy ilyen szervezet a hatósági kötelezést határidőre nem teljesíti, a hatóság a vezető ideiglenes eltiltását kezdeményezheti a cégbíróságnál. A Kibertv. 30. § (3) bekezdése és a 418/2024. Korm. rendelet 42. § (4) bekezdése szerint a jogszabályi kötelezettségét nem teljesítő vezetőt a nemzeti kiberbiztonsági hatóság 15 millió forintig terjedő bírsággal sújthatja, ismételt jogsértésnél köteles bírságot kiszabni. A két szöveg az SZTFH-t itt nem nevezi meg. A vezetői képzésről a nyolcórás képzésről szóló cikkünk szól.

A felügyelet szervezete változhat. A kormány 2026. szeptember 2-i közleménye szerint vizsgálja az SZTFH megszüntetését és feladatainak szétosztását. A kormány 2026. szeptember 22-i közleménye szerint az Országgyűlés megszavazta, hogy a hatóságtól elkerüljön egyik hatásköre, a koncessziós szerződések felügyelete, és a kormány a hatóság teljes megszüntetését tervezi. A Kibertv. NJT-n elérhető, 2026. október 1-jei időállapota szerint a feladat az SZTFH-nál van. A háttérről a hatóság megszüntetésének vizsgálatáról szóló cikkünk ír.

Mit kérdezzen a cégvezető a jelentés mellé

  1. Mi volt a mintában? Kérje el, mely rendszereket vizsgálta az auditor, és melyek maradtak ki. A kimaradt rendszerek a következő auditig vizsgálat nélkül futnak.
  2. Mit teszteltek, és mit csak papírból? Kérdezze meg, mely követelményeknél volt tényleges teszt, és melyiknél csak dokumentum és interjú. A mentés visszaállítását és a többtényezős hitelesítést nézze meg külön.
  3. Mit vállalt a cég kockázatként? A rendelet 4. melléklete szerint az eltéréseket és a helyettesítő intézkedéseket nyilvántartásba kell venni, a maradó kockázat vállalását indokolni. Nézze meg, mit hagyott jóvá a vezetés.
  4. Hogyan mér a cég két audit között? Kérdezze meg, ki és milyen gyakran ellenőrzi a saját intézkedések hatékonyságát. A „magas” osztályú rendszernél a független behatolásvizsgálat a cég kötelezettsége. A többinél, ha az auditor nem végzett ilyet, mérlegelje, hogy külön megrendeli.

A jó auditeredmény azt igazolja, hogy a cég a vizsgált rendszereken teljesíti az előírt katalógust. Hogy egy támadást kibír-e, arra a próba ad választ, és a próbát a cégnek kell megszerveznie.

Gyakori kérdések

Milyen gyakran kell NIS2-auditot végeztetni?

A Kibertv. 16. §-a szerint kétévente. A 2025. január 1. előtt működését megkezdett, auditra kötelezett szervezeteknek az első auditot 2026. június 30-ig kellett elvégeztetniük. Az újonnan nyilvántartásba vett szervezetnek a nyilvántartásba vételtől számított 120 napon belül szerződést kell kötnie egy nyilvántartott auditorral, és két éven belül el kell végeztetnie az első auditot.

Mennyibe kerül legfeljebb a kiberbiztonsági audit?

Az 1/2025. (I. 31.) SZTFH rendelet szerint a legmagasabb díj 1 750 000 forint szorozva három szorzóval, amelyek az árbevételtől, a rendszerek számától és a legmagasabb biztonsági osztálytól függnek. Egy legfeljebb 1 milliárd forint árbevételű cégnél, öt vagy kevesebb „alap” rendszerrel ez 1 575 000 forint, áfa nélkül.

Az auditor minden rendszert megvizsgál?

Nem. A rendelet 3. §-a szerint mintát vesz: az „alap” osztályú rendszerek legalább 40, a „jelentős” osztályúak legalább 60, a „magas” osztályúak legalább 70 százalékát, összesen legalább a felét. A következő auditnak az előzővel együtt az „alap” rendszerek 70 százalékát és az összes „jelentős” és „magas” rendszert le kell fednie.

Része az auditnak a behatolásvizsgálat?

A Kibertv. 22. §-a szerint az auditor a „jelentős” és a „magas” osztálynál jogosult behatolásvizsgálatra, de nem köteles. A „magas” osztályú rendszereknél a 7/2024. (VI. 24.) MK rendelet a cégnek írja elő, hogy független szakértővel végeztessen behatolásvizsgálatot. Ennél a követelménynél az auditor csak a dokumentumokat köteles megvizsgálni.

Mekkora bírságot kaphat a cég, ha nem teljesíti a követelményeket?

A 418/2024. (XII. 23.) Korm. rendelet szerint alapvető szervezetnél legfeljebb 10 millió eurónak megfelelő forintösszeget vagy az előző pénzügyi évi globális éves forgalom 2 százalékát, fontos szervezetnél 7 millió eurónak megfelelő összeget vagy 1,4 százalékot. Mindkét esetben a magasabb összeg számít. Bírság előtt a hatóság figyelmeztet és határidőt szab.

Források

Nyitott kérdések

  • A kormány 2026. őszi törvényalkotási programja másodlagos forrás szerint Nemzeti Kiberbiztonsági Ügynökségről szóló törvényjavaslatot tartalmaz. Az eredeti dokumentum a parlament.hu-n robotellenőrzés miatt nem volt letölthető, ezért a cikkbe nem került.
  • Hogy az SZTFH a gyakorlatban hogyan ellenőrzi az auditok minőségét, arról a Kibertv. 22. § (8) bekezdésén túl nyilvános adatot nem találtunk.
  • A Kibertv. 30. § (3) bekezdése és a 418/2024. Korm. rendelet 42. § (4) bekezdése szerinti, 15 millió forintig terjedő vezetői bírságot a szöveg a nemzeti kiberbiztonsági hatósághoz, vagyis a Nemzetbiztonsági Szakszolgálathoz rendeli. A szervezeti bírságnál a rendelet az SZTFH-t külön megnevezi, itt nem. Hogy a vezetői bírság az SZTFH felügyelete alá tartozó cégek vezetőire alkalmazható-e, jogi értelmezést igényel.

Ez a cikk általános tájékoztatás, nem minősül jogi tanácsadásnak.

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)